用途：在 pre-commit 与 CI 中快速执行可自动化的安全检查，尽早发现密钥、已知 CVE 依赖、镜像与 IaC 配置错误。它是工具型技能；方法论与合规用 loom-security-audit，STRIDE 用 loom-threat-model，深度依赖/SBOM 用 loom-dependency-scan。
主要能力与工具选型：密钥用 TruffleHog（可验证活跃凭据）或 Gitleaks（正则快）；依赖按语言用 npm audit、pip-audit、govulncheck、cargo audit，或跨生态 osv-scanner；容器镜像用 Trivy 或 Grype；SAST 用 Semgrep、Bandit、gosec；Dockerfile 用 hadolint；IaC 用 tfsec、kubesec、checkov。
优先级：先跑最便宜、信号最强的检查。1) 密钥（严重）：trufflehog filesystem . --only-verified --no-update；gitleaks detect --source . --redact。注意扫描 git 历史而非仅工作区，已提交后删除的密钥必须轮换。2) 依赖 CVE（高）：npm audit --audit-level=high、pip-audit、govulncheck ./...、cargo audit、osv-scanner -r .。3) 容器镜像（高）：trivy image --severity HIGH,CRITICAL --scanners vuln,secret,config myimage:tag；hadolint Dockerfile。应扫描部署用的不可变 digest。4) SAST（中）：semgrep --config=p/security-audit --config=p/secrets .、bandit -r . -ll、gosec -severity high ./...。5) IaC/配置（中）：tfsec . --minimum-severity HIGH、kubesec scan deployment.yaml、checkov -d . --compact。
CI 集成：设置非零退出码使任务失败；避免用 || true 吞掉退出码。GitHub Actions 中 checkout 需 fetch-depth: 0 以扫描完整历史，并接入 trufflehog、semgrep-action、trivy-action。pre-commit 可配置 gitleaks 与 semgrep 钩子。
结果分级：Critical 立即阻断合并（小时级），High 合并前修复（天级），Medium 计划修复（迭代内），Low 记录待办。常见误报需人工分诊并记录接受风险与理由。
限制：扫描器只能发现已知模式，逻辑与授权缺陷需升级到 loom-security-audit；运行时泄露（进程参数、环境继承、日志、客户端与 URL）扫描器无法覆盖，需在评审中标记。资料未提供具体收费、平台与效果信息。